ztevenreal
- Evite las puertas de enlace de correo electrónico y las herramientas de seguridad al nunca caer un servidor efectivo
- Blob uris significa que el contenido de phishing no está alojado en hilera, por lo que los filtros nunca lo ven venir
- No hay urls extrañas, sin dominios dudosos, solo robo silencioso de una falsa página de inicio de sesión de Microsoft
Los investigadores de seguridad han descubierto una serie de campañas de phishing que utilizan una técnica raramente explotada para robar credenciales de inicio de sesión, incluso cuando esas credenciales están protegidas por el criptográfico.
Nueva investigación de Cofense Advierte que el método se friso en Blob URI, una característica del navegador diseñada para mostrar contenido particular temporal, y los cibercriminales ahora están abusando de esta característica para entregar páginas de phishing.
Se crean y acceden a Blob URI por completo interiormente del navegador de un usufructuario, lo que significa que el contenido de phishing nunca existe en un servidor de orientación pública. Esto hace que sea extremadamente difícil detectar incluso los sistemas de protección de punto final más avanzados.
Una técnica oculta que pasa por las defensas más allá
En estas campañas, el proceso de phishing comienza con un correo electrónico que evita fácilmente las puertas de enlace de correo electrónico seguras (SEG). Estos correos electrónicos generalmente contienen un enlace a lo que parece ser una página legítima, a menudo alojada en dominios de confianza como OneDrive de Microsoft.
Sin confiscación, esta página auténtico no aloja el contenido de phishing directamente. En cambio, actúa como un intermediario, cargando silenciosamente un archivo HTML controlado por el actor de amenazas que decodifica en un URI blob.
El resultado es una página de inicio de sesión falsa que se presenta interiormente del navegador de la víctima, diseñada para imitar de cerca el portal de inicio de sesión de Microsoft.
Para la víctima, falta parece estar fuera de oportunidad, no hay URL extrañas o signos obvios de fraude, solo una solicitud para iniciar sesión para ver un mensaje seguro o entrar a un documento. Una vez que hacen clic en ‘Iniciar sesión’, la página redirige a otro archivo HTML controlado por el atacante, que genera un URI de blob particular que muestra la página de inicio de sesión falsificada.
Correcto a que Blob URI funciona completamente interiormente de la memoria del navegador y son inaccesibles desde fuera de la sesión, las herramientas de seguridad tradicionales no pueden escanear o rodear el contenido.
“Este método hace que la detección y el examen sean especialmente complicadas”, dijo Jacob Malimban, del equipo de inteligencia de Cofense.
“La página de phishing se crea y se representa localmente utilizando un URI Blob. No está alojado en hilera, por lo que no se puede escanear o rodear de la forma habitual”.
Las credenciales ingresadas en la página falsificada se exfiltran en silencio a un punto final del actor de amenaza remota, dejando a la víctima inconsciente.
Los filtros de seguridad con sede en IA todavía luchan por atrapar estos ataques, ya que los URI de blob rara vez se usan maliciosamente y pueden no estar perfectamente representados en los datos de capacitación. Los investigadores advierten que a menos que evolucionen los métodos de detección, es probable que esta técnica gane tracción entre los atacantes.
Para defenderse de tales amenazas, se insta a las organizaciones a adoptar soluciones avanzadas de firewall como servicio (FWAAS) y Cero Trust Network Access (ZTNA) que pueden ayudar a afirmar el ataque y marcar una actividad de inicio de sesión sospechosa.
